Aggiornamento sulla inclusione di pagine di falsi blog su siti IT e links a malware (26/12)

Continua l'inclusione di false pagine , simili a blog, su siti IT.

Una ricerca effettuata attualmente, dimostra che ci sono siti, nei risultati di una ricerca in rete, che da qualche ora presentano nuove pagine incluse.

Per verificare in modo visuale la struttura di questo attacco, che ricalca quello precedente del settembre scorso, sempre ai danni di siti hostati su IP inglese, ho sviluppato questo piccolo script che , sfruttando i risultati restituiti dalla una ricerca in rete, crea una mappa della struttura del sito colpito.
Il vantaggio e' sicuramente quello di rappresentare i risultati forniti dal motore di ricerca in modalita semigrafica, cosa che permette di evidenziare meglio l'elevato numero di codici inclusi nel sito.

Ecco un primo esempio che vede questo sito di corsi di musica sempre hostato su uno dei server UK


presentare, come risultato della scansione con il tool questa struttura

che nel dettaglio
dimostra la grandissima quantita di codice incluso nel sito


Questo invece un altro sito sempre IT e sempre ostato su server UK,


che dimostra la presenza di differenti nomi di pagina

Edgar

Siti compromessi (26/12)

Si tratta della quasi totalita' dei siti rilevati da un reverse IP su

(di hoster ligure gia' visto parecchie volte nei report riguardanti siti compromessi)

che presentano inclusa questa pagina al loro interno


Questo un report


Piu' grave questa azione ai danni di

dove quasi tutti i siti hostati rilevati da un reverse IP, presentano la homepage sostituita da

Questo un report


Ancora una volta, si tratta di attacchi che , anche se generalmente non portano a problemi di sicurezza per chi visitasse il sito colpito, evidenziano l'elevato numero di vulnerabilita' presenti che potrebbero, e molto spesso lo sono, essere sfruttate per diffondere links a pagine con malware, falsi Av ed anche fornire supporto e redirect a siti di phishing.

Edgar

Aggiornamento e dettagli sui falsi blogs inclusi in siti .IT hostati su server UK (25/12) e link Eleonore Exploit Pack

AVVISO ! Ricordo, come sempre, che anche se alcuni links sono in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso (sandboxie, noscript, pc virtuale ecc....) !!!!
Si tratta molto spesso di exploits e files eseguibili malware, poco riconosciuti dai software AV in commercio


Come visto in precedenza (qui e qui) si sta diffondendo, su siti IT hostati sempre su

(o altri IP sempre relativi allo stesso hoster), l'inclusione di decine di pagine di falso blog (dai piu' diversi layout) con links a differenti generi di malware o falsi AV, pharmacy, ecc...

A confermare la pericolosita' dei links serviti da questi falsi blogs inclusi, vedremo, analizzando uno dei links proposti, come il risultato finale sia una pagina di Exploit Pack (tools per la distribuzione di expolit e gestione di botnet) denominato Eleonore.

Per iniziare vediamo alcuni dettagli sulla procedura utilizzata per linkare ai siti pericolosi, attraverso i falsi blog inclusi:

Al momento vengono utilizzati alcuni script java (cammuffati nel nome da codice di counter) , che eseguono il redirect automatico e precisamente

ed anche
che analizzeremo in maniera approfondita nel seguito del post.

Possiamo subito notare che il nome dell'indirizzo a cui si viene rediretti e' anche quello di pagine ispirate alle festivita' di fine anno (happy-newyear2010(dot)com ) e che i server che ospitano i files java cambiano frequentemente indirizzo.(la maggior parte dei file javascript e' hostata ora su)

mentre le pagine a cui puntano risiedono su


Si tratta sempre di indirizzi che variano in continuazione ogni poche ore per eludere meglio il tracciamento della distribuzione malware senza contare che nella maggior parte dei casi viene sempre effettuato un riconoscimento dell'IP di provenienza del visitatore, disattivando, ad esempio, il caricamento delle pagine, dopo la prima visita.

A parte i falsi Av linkati in maniera automatica dai fake scanner online e sempre poco riconosciuti, vediamo invece in dettaglio questo sito a cui si viene rediretti e precisamente

con whois USA

La pagina presentata e' quella del noto clone Youtube con contenuti porno ma questa volta invece che proporre subito un eseguibile malware (molto spesso fake AV) viene invece presentata, in automatico, una serie di links a falsi motori di ricerca

Capita cosi' che se si effettua una ricerca ad sempio di software AV

si viene rediretti su pagina con whois

e di cui vediamo in dettaglio i contenuti

Si tratta di due links sia a malware sotto forma di eseguibile che a exploit PDF con riconoscimento dei due files molto basso ad una analisi VT

Un exploit PDF

e

Entrando ancora piu' nel dettaglio relativamente alla pagina con malware, possiamo notare come si sia in presenza di un Exploit Pack denominato Eleonore in una versione recente, la 1.3.1.


Eleonore Exploits Pack, e' e' una raccolta di exploit progettata per gestire e controllare una botnet zombie con incluso software che provvede a produrre statistiche dettagliate sui computer infettati...ecc...

La versione iniziale sfruttava vulnerabilita' di vario tipo quali

> MDAC
> MS009-02
> Telnet - Opera
> Tag Font - FireFox
> PDF
> DirectX DirectShow
ecc...

e veniva proposta inizialmente in rete ad un prezzo attorno ai 700 $

Sono seguite poi nuove versioni quali la 1.1 la 1.2 e la 1.3 b

La versione (1.3b), presenta nuovi exploit, migliorando anche le statistiche relative ai dati dei computer infettati .

Edgar